GDPR & digitale Visitenkarten: Compliance-Leitfaden 2026

GDPR-Compliance für digitale Visitenkarten ist keine Option, wenn Sie in oder mit der EU Geschäfte machen – und die Strafen bei Verstößen sind empfindlich: bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, was höher ist.

Ich habe dutzende Rechtsabteilungen bei genau dieser Frage begleitet: „Ist unsere Plattform für digitale Visitenkarten GDPR-konform?“ Bei der Entwicklung von Wave Connects Enterprise-Lösung zur gleichzeitigen Erfüllung von SOC 2 Type II- und GDPR-Vorgaben habe ich gelernt, worauf es wirklich ankommt – und was reines Marketing-Gerede ist. Dieser Leitfaden liefert Ihnen die Artikel-für-Artikel-Aufschlüsselung, die Bewertungs-Checkliste und typische Fehler aus der Praxis.

Warum GDPR-Compliance bei digitalen Visitenkarten 2026 entscheidend ist

Diese Zahl lässt Rechtsabteilungen aufhorchen: 1,97 Milliarden Euro an GDPR-Bußgeldern allein im Jahr 2023. Meta traf es mit 1,2 Milliarden Euro. Amazon mit 746 Millionen Euro. Google mit 90 Millionen Euro. Das sind keine Anfängerfehler kleiner Firmen – sie alle haben eigene Compliance-Abteilungen. (Quelle: DLA Piper GDPR Fines Report, Januar 2024.)

Warum sollten Sie sich also gerade bei digitalen Visitenkarten Gedanken machen?

Weil jede digitale Visitenkarte personenbezogene Daten verarbeitet. Ohne Ausnahme. Name, E-Mail-Adresse, Telefonnummer, Berufsbezeichnung – all das sind personenbezogene Daten nach der GDPR. Und sobald Sie eine Plattform für digitale Visitenkarten für Ihr Team einführen, starten Sie einen neuen Datenverarbeitungsvorgang, den Ihr Datenschutzbeauftragter kennen muss.

Wer muss sich darum wirklich kümmern? Mehr Unternehmen, als man denkt:

• Unternehmen mit Sitz in der EU – selbstverständlich
• US- oder UK-Unternehmen mit Kunden oder Partnern in der EU – scannt eine Person mit Wohnsitz in der EU Ihre Karte, greift die GDPR
• Regulierte Branchen weltweit – Finanzdienstleister, Gesundheitswesen und Kanzleien nutzen die GDPR oft auch außerhalb der EU als Standard
• Jedes Unternehmen mit einer EU-Niederlassung – ein einziges Büro in Dublin bedeutet, dass die gesamte Plattform konform sein muss

Gilt die GDPR für Ihre digitalen Visitenkarten?

Kurze Antwort: fast sicher ja.

Artikel 2 der GDPR fasst den Anwendungsbereich weit. Jede Verarbeitung personenbezogener Daten – und Name, E-Mail, Telefonnummer oder Jobtitel auf einer digitalen Visitenkarte sind solche Daten – fällt unter die Verordnung, wenn entweder der Verantwortliche oder die betroffene Person in der EU sitzt.

Der häufigste Stolperstein: Sie sind der Verantwortliche (Data Controller), nicht der Plattformanbieter. Ihre Plattform für digitale Visitenkarten ist der Auftragsverarbeiter (Data Processor). Die rechtliche Verantwortung für die Compliance liegt also bei Ihrem Unternehmen. Die Plattform muss Ihnen lediglich die Werkzeuge dafür bereitstellen.

Das Schrems-II-Problem

Als EU-Unternehmen, das eine in den USA gehostete Plattform nutzt, kommt eine weitere Hürde hinzu. Das Schrems-II-Urteil kippte den EU-US Privacy Shield. Die Übermittlung personenbezogener Daten auf US-Server erfordert daher mindestens Standardvertragsklauseln (SCCs) sowie ein Transfer Impact Assessment, das ein angemessenes Schutzniveau beim US-Anbieter belegt.

Mein Rat? Setzen Sie auf Plattformen mit EU-Hosting oder noch besser auf White-Label-Domains, bei denen die Daten unter Ihrer Kontrolle bleiben. Das erspart Ihnen das gesamte Schrems-II-Kopfzerbrechen.

GDPR-Anforderungen für digitale Visitenkarten (Artikel für Artikel)

Gehen wir ins Detail. Hier sind die acht GDPR-Artikel, die sich direkt darauf auswirken, wie Sie digitale Visitenkarten einführen und verwalten. 📋

Artikel 5: Datenminimierung

Ihre digitalen Visitenkarten sollten nur Daten erfassen, die wirklich notwendig sind. Liest die Plattform Gerätedaten, IP-Adressen oder Nutzungsanalysen des Empfängers über das nötige Maß hinaus aus, liegt ein Verstoß vor. Fragen Sie Ihren Anbieter: Welche Daten erfassen Sie abgesehen von den explizit bereitgestellten Angaben?

Artikel 6: Rechtmäßigkeit der Verarbeitung

Sie benötigen eine Rechtsgrundlage für die Datenverarbeitung auf Ihren Karten. Bei digitalen Visitenkarten ist das meist entweder die Einwilligung (der Empfänger speichert Ihre Karte bewusst) oder das berechtigte Interesse (der Austausch von Kontaktdaten im geschäftlichen Kontext). Dokumentieren Sie genau, auf welche Grundlage Sie sich stützen.

Artikel 17: Recht auf Löschung

Ein zentraler Punkt. Verlangt jemand die Löschung seiner Daten, müssen Sie diese tatsächlich löschen. Nicht nur markieren. Nicht erst nach 30 Tagen. Sofort löschen. Ich habe die Datenlöschung bei mehreren Anbietern getestet: Manche löschen unverzüglich. Andere verstecken 30-tägige Aufbewahrungsfristen in ihren Datenschutzerklärungen – eine riskante Compliance-Lücke.

Artikel 25: Datenschutz durch Technikgestaltung (Privacy by Design)

Datenschutz muss in die Plattformarchitektur integriert sein – nicht nachträglich aufgesetzt. Hier haben browserbasierte Plattformen einen strukturellen Vorteil: Keine App-Installation bedeutet keine unnötigen Geräteberechtigungen – keine Zugriffe auf Kontakte, Kamera, Standort oder Speicher, die Sie nach Artikel 25 rechtfertigen müssten.

Artikel 28: Anforderungen an Auftragsverarbeiter

Ein Data Processing Agreement (DPA) mit Ihrem Anbieter für digitale Visitenkarten ist Pflicht – ohne Ausnahme. Der DPA muss regeln, welche Daten zu welchem Zweck verarbeitet, wie lange sie gespeichert und was nach Vertragsende damit geschieht. Kann ein Anbieter keinen DPA vorlegen: Hände weg.

Artikel 30: Verzeichnis von Verarbeitungstätigkeiten

Sie müssen ein Verzeichnis aller Verarbeitungstätigkeiten führen. Auch der Einsatz digitaler Visitenkarten gehört hinein: erhobene Daten, Rechtsgrundlage, Speicherfristen und Drittlandübermittlungen. Oft wird eine Plattform ausgerollt und die Aktualisierung nach Artikel 30 vergessen. Sechs Monate später fällt es dem DPO im internen Audit auf – kein angenehmes Gespräch.

Artikel 32: Sicherheit der Verarbeitung

Verschlüsselung, Zugriffskontrollen, regelmäßige Sicherheitsüberprüfungen. Hier zahlen sich Zertifizierungen wie SOC 2 Type II wirklich aus: Sie liefern den unabhängigen Nachweis, dass der Anbieter Sicherheitsstandards tatsächlich erfüllt, statt nur Marketingversprechen abzugeben.

Artikel 33–34: Meldung von Datenschutzverletzungen

Kommt es bei Ihrer Plattform für digitale Visitenkarten zu einer Datenpanne, bleiben Ihnen 72 Stunden für die Meldung an die Aufsichtsbehörde. Die Frist beginnt, sobald der Auftragsverarbeiter Sie informiert. Achten Sie auf eine Meldeklausel im DPA mit fester Frist – idealerweise 24 bis 48 Stunden, damit Ihnen genug Zeit für die Bewertung vor Ablauf der 72-Stunden-Frist bleibt.

So evaluieren Sie Plattformen für digitale Visitenkarten auf GDPR-Compliance

Diese sieben Fragen stelle ich bei jedem Enterprise-Kunden. Kann eine Plattform nicht alle sieben klar beantworten, ist Vorsicht geboten. 🔐

Wie eine wirklich GDPR-konforme Plattform für digitale Visitenkarten aussieht

Sehen wir uns an, wie echte Compliance in der Praxis aussieht – am Beispiel von Wave Connect, der Plattform, die ich genau für diese Anforderungen entwickelt habe.

Duale Zertifizierung: SOC 2 Type II + GDPR

SOC 2 regelt die Sicherheitskontrollen (Verschlüsselung, Zugriffsverwaltung, Incident Response). Die GDPR deckt die Betroffenenrechte ab (Einwilligung, Löschung, Datenübertragbarkeit). Sie brauchen beides: Eine Plattform mit SOC 2, die die GDPR ignoriert, ist nur halb konform. Wave erfüllt beides und wird jährlich von einer unabhängigen Wirtschaftsprüfungsgesellschaft nach SOC 2 auditiert. Details zur Bedeutung von SOC 2 bei digitalen Visitenkarten finden Sie in meiner ausführlichen Analyse.

Datensouveränität durch White-Label-Domains

Ein Aspekt, den viele übersehen: Wenn die digitalen Visitenkarten Ihres Teams auf cards.yourcompany.com statt auf vendor-name.com/your-card liegen, behalten Sie die Datensouveränität. Die Daten laufen über Ihre eigene Domain – ein entscheidender Vorteil für Schrems-II-Konformität und strikte Datenresidenz-Vorgaben.

Browserbasierte Architektur = weniger Angriffsfläche

Keine App bedeutet: keine Geräteberechtigungen, kein Zugriff auf Kontaktlisten und keine Datensynchronisierung im Hintergrund. Im Sinne von GDPR Artikel 25 lassen sich browserbasierte Plattformen deutlich einfacher auditieren, da Fehlerquellen strukturell minimiert werden.

Sofortige Datenlöschung

Wenn ich sofort sage, meine ich sofort: Nicht in einer Warteschlange, nicht „innerhalb von 30 Werktagen“. Sobald Nutzer oder Admins eine Löschung anfordern, sind die Daten weg. Genau das verlangt Artikel 17 und genau danach wird Ihr Datenschutzbeauftragter fragen.

Kein Fremd-Branding, keine Direktwerbung

Dieser Punkt ist für die GDPR wichtiger, als viele denken: Fügt eine Plattform Ihren Karten ein „Powered by [Anbieter]“ hinzu und schreibt Ihre Empfänger zur Registrierung an, wird der Anbieter ungefragt zum Datenverantwortlichen für Ihre Kontakte. Wave macht das nicht: Ihre Kontakte bleiben Ihre Kontakte.

DPA mit klaren Konditionen

Wave bietet einen DPA mit Haftungsobergrenzen, transparenter Unterauftragsverarbeiter-Liste, Meldung von Datenschutzverletzungen binnen 24 Stunden und Löschzertifikaten bei Vertragsende. Genau diesen Standard sollten Sie von jeder Enterprise-Plattform erwarten.

Häufige GDPR-Fehler bei digitalen Visitenkarten (und wie Sie sie vermeiden)

Ich habe all diese Fehler erlebt – und zwar mehr als einmal. 😬

Fehler 1: Annehmen, „GDPR-konform“ auf einer Website bedeute zertifiziert

Es gibt keine offizielle GDPR-Zertifizierungsstelle. Jeder kann „GDPR-konform“ auf seine Website schreiben. Verlangen Sie handfeste Nachweise: einen DPA, ein Verzeichnis von Verarbeitungstätigkeiten, Sicherheitsaudits Dritter (SOC 2, ISO 27001) und eine detaillierte Dokumentation zur Umsetzung von Betroffenenrechten. Fordern Sie klare Belege ein.

Fehler 2: Schrems II bei US-gehosteten Plattformen ignorieren

Hostet Ihr Anbieter für digitale Visitenkarten ausschließlich in den USA und kann weder Standardvertragsklauseln noch ein Transfer Impact Assessment vorweisen, haben Sie eine Compliance-Lücke. Das EU-US Data Privacy Framework hilft nur, wenn der Anbieter auch zertifiziert ist. Prüfen Sie das genau nach.

Fehler 3: Auf den DPA verzichten

Artikel 28 verlangt einen DPA zwischen jedem Datenverantwortlichen und Auftragsverarbeiter. Ich habe schon erlebt, wie Teams Hunderte von Visitenkarten einführten, ohne jemals einen DPA mit dem Anbieter zu unterzeichnen. Fragt eine Aufsichtsbehörde nach dem Vertrag zur Auftragsverarbeitung und es herrscht Stille, ist das ein schwerwiegender Verstoß.

Fehler 4: Die Datenlöschung nicht testen

Verlassen Sie sich nicht auf Versprechungen. Erstellen Sie ein Testprofil, fordern Sie die Löschung an und prüfen Sie den Zugriff per Direktlink, API oder Cache. Ist das Profil nach Ablauf der Frist noch abrufbar, liegt ein ernstes Problem vor.

Fehler 5: App-Berechtigungen übersehen

App-basierte Plattformen fordern oft Zugriff auf Kontaktliste, Kamera, Standort und Speicher. Jede Berechtigung ist ein Verarbeitungsvorgang, der nach Artikel 5 begründet und nach Artikel 30 dokumentiert werden muss. Browserbasierte Alternativen wie Wave vermeiden das komplett.

Fehler 6: Dokumentation nach Artikel 30 vergessen

Ihr Verzeichnis von Verarbeitungstätigkeiten muss auch Ihre Plattform für digitale Visitenkarten enthalten. Tragen Sie diese am besten direkt in der Einführungswoche ein: erfasste Datenkategorien, Rechtsgrundlage, Aufbewahrungsfrist, Unterauftragsverarbeiter und Datentransfers in Drittländer.

Branchenspezifische GDPR-Anforderungen

Finanzdienstleistungen (GDPR + MiFID II)

Finanzinstitute stehen vor einer doppelten Pflicht: MiFID II fordert die Aufbewahrung von Kundenkommunikation, die GDPR verlangt Datenminimierung. Ihre Plattform für digitale Visitenkarten muss diesen Spagat meistern – Aufzeichnungen vorschriftsmäßig speichern und Daten auf Anfrage zuverlässig löschen. Vertriebsteams im Finanzsektor benötigen Plattformen mit granularen Admin-Rechten und lückenlosen Audit-Logs.

Kanzleien (Anwaltsgeheimnis + GDPR)

Das Anwaltsgeheimnis verlangt besondere Sorgfalt: Über digitale Visitenkarten ausgetauschte Kontaktdaten können vertrauliche Mandate betreffen. Kanzleien sollten Plattformen mit Ende-zu-Ende-Verschlüsselung und Datensouveränität wählen – Mandantendaten gehören nicht auf eine geteilte Infrastruktur eines Anbieters.

Gesundheitswesen (GDPR + nationale Gesundheitsdatengesetze)

Organisationen im Gesundheitswesen verarbeiten besondere Datenkategorien nach GDPR Artikel 9. Auch wenn eine digitale Visitenkarte selbst keine Gesundheitsdaten enthält, kann schon die Verbindung zwischen Behandler und Kontakt sensibel sein. In der EU gehostete, SOC 2-zertifizierte Plattformen mit strengen Zugriffskontrollen sind hier das absolute Minimum.

SaaS & Tech (GDPR als Kundenanforderung)

Selbst als US-basiertes SaaS-Unternehmen werden Ihre EU-Kunden im Einkaufsprozess Ihre GDPR-Compliance hinterfragen. Nutzen Ihre Teams nicht-konforme digitale Visitenkarten, fällt das bei der Anbieterprüfung sofort negativ auf. Mit einer zertifizierten Plattform vermeiden Sie solche Hürden von vornherein.

GDPR-Checkliste für den Rollout digitaler Visitenkarten

Diese 3-Phasen-Checkliste nutze ich bei jedem Enterprise-Rollout. Drucken Sie sie aus, leiten Sie sie an Ihren Datenschutzbeauftragten weiter und haken Sie jeden Punkt ab. ✅

Wenn Sie nach einer Plattform suchen, die jeden einzelnen Punkt dieser Liste von vornherein erfüllt: Der Enterprise-Plan von Wave Connect wurde genau für diesen Anwendungsfall entwickelt. Doppelte Compliance nach SOC 2 und GDPR, White-Label-Domains, sofortige Datenlöschung und ein unterschriftsreifer DPA.

Möchten Sie Wave erst unverbindlich testen, bevor Sie sich für Enterprise entscheiden? Mit dem dauerhaft kostenlosen Tarif von Wave können Sie die GDPR-Konformität der Plattform direkt in der Praxis prüfen – ohne Kreditkarte, ohne fremdes Branding auf Ihren Karten und völlig unverbindlich.

Häufig gestellte Fragen

Gilt die GDPR auch für digitale Visitenkarten?

Ja – digitale Visitenkarten enthalten personenbezogene Daten (Namen, E-Mails, Telefonnummern), die unter den Anwendungsbereich von Artikel 2 der GDPR fallen. Sobald sich entweder Sie oder der Empfänger in der EU befinden, greift die GDPR.

Was passiert, wenn meine Plattform für digitale Visitenkarten nicht GDPR-konform ist?

Es drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Als Verantwortlicher liegt die rechtliche Haftung bei Ihrem Unternehmen, nicht beim Plattformanbieter.

Kann ich in der EU eine in den USA gehostete digitale Visitenkarte nutzen?

Ja, allerdings nur mit Standardvertragsklauseln (SCCs) und einem durchgeführten Transfer Impact Assessment. In der EU gehostete Plattformen oder White-Label-Domains vereinfachen die Compliance erheblich.

Was ist ein DPA und benötige ich einen für digitale Visitenkarten?

Ein Data Processing Agreement ist ein nach Artikel 28 der GDPR gesetzlich vorgeschriebener Vertrag zwischen Ihnen (Verantwortlicher) und Ihrem Plattformanbieter (Auftragsverarbeiter). Ja, Sie benötigen diesen Vertrag zwingend vor dem Rollout.

Wie überprüfe ich die GDPR-Konformität einer Plattform?

Fordern Sie deren DPA, die Liste der Unterauftragsverarbeiter, Löschkonzepte und Sicherheitszertifikate Dritter an (SOC 2 Type II, ISO 27001). Ein offizielles „GDPR-Zertifikat“ gibt es nicht – achten Sie stattdessen auf lückenlos dokumentierte Nachweise.

Was bedeutet das Recht auf Löschung nach der GDPR für digitale Visitenkarten?

Artikel 17 gibt Personen das Recht, die unverzügliche Löschung ihrer personenbezogenen Daten zu verlangen. Ihre Plattform sollte daher eine sofortige Löschung unterstützen und Daten nicht noch 30 Tage lang vorhalten.

Sind browserbasierte digitale Visitenkarten GDPR-konformer als Apps?

Browserbasierte Plattformen machen die GDPR-Compliance strukturell einfacher: Sie erfordern keine Geräteberechtigungen (Kontakte, Kamera, Standort), die nach Artikel 25 gesondert begründet werden müssten.

Was bedeutet Privacy by Design bei digitalen Visitenkarten?

Artikel 25 der GDPR schreibt vor, dass Datenschutz standardmäßig in die Plattformarchitektur integriert sein muss – nicht erst als nachträgliches Add-on. Browserbasierte Plattformen mit minimaler Datenerfassung erfüllen diesen Standard deutlich unkomplizierter als App-basierte Lösungen.

Ist eine White-Label-Domain für die GDPR-Compliance zwingend erforderlich?

Vorgeschrieben ist sie nicht, doch White-Label-Domains (z. B. cards.ihre-firma.de) stärken die Datensouveränität und erleichtern die Einhaltung der Schrems-II-Vorgaben. Der Datenverkehr läuft so über Ihre eigene Domain statt über die Infrastruktur eines Drittanbieters.

Wie lange dürfen Plattformen gelöschte Daten gemäß GDPR aufbewahren?

Die GDPR verlangt eine Löschung „ohne schuldhaftes Zögern“ (unverzüglich), was Aufsichtsbehörden in der Regel als sofort oder innerhalb weniger Tage auslegen. Wenn Plattformen Daten nach einem Löschantrag noch 30 Tage speichern, birgt das ein echtes Compliance-Risiko.

Über den Autor: George El-Hage ist der Gründer von Wave Connect, einer nach SOC 2 Type II zertifizierten Plattform für digitale Visitenkarten, die von über 150.000 Fachkräften weltweit genutzt wird. Mit mehr als 6 Jahren Erfahrung bei der Einführung digitaler Visitenkarten in regulierten Branchen wie Finanzen, Gesundheitswesen und Recht ist George auf Enterprise-Compliance und Datenschutz bei Technologien zum Kontaktaustausch spezialisiert. Vernetzen Sie sich auf LinkedIn.